Google तृतीय-पक्ष Android उपकरणों में कमजोरियों का खुलासा करेगा

गूगल प्रस्तुत पहल Android पार्टनर भेद्यता, जो विभिन्न ओईएम निर्माताओं से एंड्रॉइड उपकरणों में कमजोरियों पर डेटा का खुलासा करने की योजना बना रहा है। यह पहल तीसरे पक्ष के निर्माताओं के संशोधनों के साथ फर्मवेयर के लिए विशिष्ट कमजोरियों के बारे में उपयोगकर्ताओं के लिए इसे और अधिक पारदर्शी बनाएगी।

अब तक, आधिकारिक भेद्यता रिपोर्ट (एंड्रॉइड सुरक्षा बुलेटिन) ने केवल एओएसपी रिपॉजिटरी में पेश किए गए कोर कोड में मुद्दों को प्रतिबिंबित किया है, लेकिन ओईएम से संशोधनों के लिए विशिष्ट मुद्दों को ध्यान में नहीं रखा है। पहले से दिखाया गया समस्याएँ ZTE, Meizu, Vivo, OPPO, Digitime, Transsion और Huawei जैसे निर्माताओं को प्रभावित करती हैं।

पहचानी गई समस्याओं में से:

• डिजीटाइम उपकरणों में, ओटीए अपडेट इंस्टॉलेशन सेवा एपीआई तक पहुंचने के लिए अतिरिक्त अनुमतियों की जांच करने के बजाय इस्तेमाल किया गया था एक हार्डकोडेड पासवर्ड जो हमलावर को चुपचाप एपीके पैकेज इंस्टॉल करने और एप्लिकेशन अनुमतियां बदलने की अनुमति देता है।
• कुछ ओईएम के बीच लोकप्रिय वैकल्पिक ब्राउज़र में अचंभा पासवर्ड मैनेजर कार्यान्वित किया गया जावास्क्रिप्ट कोड के रूप में जो प्रत्येक पृष्ठ के संदर्भ में चलता है। हमलावर द्वारा नियंत्रित साइट उपयोगकर्ता के पासवर्ड भंडारण तक पूर्ण पहुंच प्राप्त कर सकती है, जिसे अविश्वसनीय डीईएस एल्गोरिदम और हार्ड-कोडित कुंजी का उपयोग करके एन्क्रिप्ट किया गया था।
• Meizu उपकरणों पर सिस्टम यूआई एप्लिकेशन लदा हुआ एन्क्रिप्शन और कनेक्शन सत्यापन के बिना नेटवर्क से अतिरिक्त कोड। पीड़ित के HTTP ट्रैफ़िक की निगरानी करके, हमलावर एप्लिकेशन के संदर्भ में अपना कोड चला सकता है।
• विवो डिवाइस थे पुन: कुछ अनुप्रयोगों को अतिरिक्त अनुमतियाँ प्रदान करने के लिए PackageManagerService वर्ग की checkUidPermission विधि, भले ही ये अनुमतियाँ मैनिफ़ेस्ट फ़ाइल में निर्दिष्ट न हों। एक संस्करण में, विधि ने पहचानकर्ता com.google.uid.shared वाले एप्लिकेशन को कोई भी अनुमति दी। दूसरे संस्करण में, अनुमतियाँ देने के लिए एक सूची के विरुद्ध पैकेज नामों की जाँच की गई थी।

स्रोत: opennet.ru